VPN profiliniz yalnız parametrlər deyil, şəxsi açar da daşıyır

Forum mövzusuna VPN profili yapışdıran hər kəs eyni inamdan başlayır. Fayl yalnız bir server ünvanı və bir neçə parametr saxlayır, ona görə onu paylaşmaq telefon nömrəsini paylaşmaq kimi görünür. Sonra kimsə onu oxuyur və dördüncü sətirdə şifrələnməmiş şəxsi açar tapır.

Profil tunel haqqında sənəd deyil. O, tunelin kimliyidir, yazıya alınmış.

Fayldakı obyektlər eyni məxfilik səviyyəsini paylaşmır

Açıq CA sertifikatı daşınmaq üçündür. Müştərinin şəxsi açarı isə yox. Hər ikisi eyni faylda görünəndə, zərərsiz olan bütün əlavəni təhlükəsiz göstərir. Tələ budur.

OpenVPN bunu dizaynına görə daha da pisləşdirir. Sertifikatların, açarların və autentifikasiya materialının faylın içində yerləşdirilməsinə imkan verir. Bu, yerləşdirmə üçün rahat, paylaşma üçün fəlakətlidir. Oxunaqlı sertifikat bloku ilə başlayan fayl şəxsi hissəyə qədər davam edir.

WireGuard bu barədə daha birbaşadır. İnterfeys bölməsi şəxsi açar daşıyır, hər peer isə üstəlik əvvəlcədən paylaşılmış açar daşıya bilər. Hansı sətirlərin vacib olduğunda qeyri-müəyyənlik yoxdur. Demək olar ki, hər sətir vacibdir.

Ekran şəkli eyni sızmanın başqa formatıdır

Konfiqurasiyanı QR kod kimi kodlaşdırmaq onu önizləmə kimi təsnif etmir. Kod eyni baytları daşıyır və otaqdakı istənilən telefon kamerası onu dekodlaya bilər. Eyni şey müştərinin konfiqurasiya pəncərəsinin ekran şəklinə də aiddir, orada açar küncdə oxunaqlı görünür.

Autentifikasiya faylları və istinad edilən açar yolları eyni auditə aiddir. Xarici fayla işarə edən profil avtomatik daha təhlükəsiz deyil, çünki yol oxucunun çata biləcəyi bir yerə açıla bilər. Autentifikasiya faylındakı token şifrə qədər istifadə oluna bilər və çox vaxt şifrəyə bənzəmir.

Açarı deyil, xəta mətnini göndərin

Diaqnoz üçün xəta mətni, müştəri versiyası və sınanmış seçim adları lazımdır. Açar lazım deyil. Sualı bu üç şeylə yazın və fayl maşınınızdan çıxmazdan əvvəl hər sirri və hər lazımsız şəbəkə identifikatorunu əvəz edin.

OpenVPN-in daxili fayllar haqqında təlimat bölməsi həmin obyektlərin harada olduğunun faydalı xəritəsidir. Bu, həm də bir profilin neçəsini saxlaya biləcəyini xatırladır.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Sonra redaktə etdiyinizə dair yaddaşınıza güvənmək əvəzinə son əlavəni oxuyun. Açarlar sonrakı bloklarda, redaktə edilməmiş şərhdə və struktur olduğuna qərar verdiyiniz sətirdə gizlənir.

Məruz qaldıqdan sonra yeganə təmir rotasiyadır

Paylaşımı silmək heç nəyi ləğv etmir. Faylı alan şəxs hələ də işlək etimadnaməyə malikdir, buna görə də verən tərəf onu xidmətin öz prosesi ilə ləğv etməli və ya dəyişməlidir. Yerli nüsxəni silmək uzaq tərəfdə heç nəyi dəyişmir.

İşlək profilləri qorunan üsulla saxlayın və köhnəlmiş idxal edilmiş qeydləri yükləmələr qovluğunda üç nüsxə qoymaq əvəzinə qəsdən silin. Artıq istifadə etmədiyiniz profil ləğv edilənə qədər hələ də etimadnamədir.

Qurmağa dəyər vərdiş kiçikdir. Hər hansı profil maşını tərk etməzdən əvvəl onun içində ünvandan başqa nə olduğunu soruşun və yadda saxladığınıza görə deyil, faylı oxuyaraq cavab verin.